QNAP NAS での自己暗号化ドライブ (SED) の使い方

このチュートリアルでは、自己暗号化ドライブ (SED) についてご紹介し、QNAP NAS でそれを利用し、管理する方法をご説明します。

• 自己暗号化ドライブ (SED)
• SED を使う理由
• SED タイプ
• SED ストレージの作成
  • SED セキュアストレージプールの作成
  • SED セキュア静的ボリュームの作成
• SED 管理
  • SED ストレージプールと静的ボリュームのアクション
  • ロックされている SED ストレージプールまたは静的ボリュームの削除
  • SED セキュアストレージプールから新しい NAS への移行
  • SED 消去を用いたディスクの消去
• SED ステータス
• 用語集

自己暗号化ドライブ (SED)

自己暗号化ドライブ (SED) は、ドライブコントローラーに組み込まれた暗号化ハードウェアをもつドライブです。SED は、すべてのデータをそれがドライブに書き込まれる時に自動的に暗号化し、ドライブから読み出される時に復号化します。SED に保存されたデータは、常にデータ暗号化キーによって完全に暗号化され、ドライブのハードウェアに保存されるため、ホストオペレーティングシステムや不正ユーザーはアクセスできません。暗号化キー自体も、SED をロック、ロック解除することが可能なユーザー指定の暗号化のパスワード によって暗号化できます。

暗号化と復号化はドライブによって扱われるため、SED 上のデータへのアクセスにはホストデバイスの CPU リソースは必要ありません。SED が物理的に盗まれたり紛失した場合は、SED 上のデータもアクセスできなくなります。そのため、SED は機密情報の保管のために広く採用されています。

SED は、QTS および QuTS hero 内での SED セキュアストレージプールや、QTS 内の SED セキュア静的ボリュームの作成に使用できます。SED は、通常のストレージプールやボリュームの作成にも使用できますが、SED の自己暗号化機能は無効になります。

SED を使う理由

データストレージセキュリティは多くの企業や組織にとって非常に重要な事項です。クレジットカード情報や身分証明書番号などの個人データや、製品の青写真や知的財産などの企業秘密を保存している場合は、特にその重要性が高まります。

データ漏えいが発生すると、企業や組織は深刻な結果に直面します。機密情報が危険にさらされることがないとしても、データ漏えいはお客様やクライアントに被害を与え、売上の減少や法律上の罰則を受けるなどのことが起こり得ます。

SED はハードウェアベースの完全ディスク暗号化を行うため、暗号化と復号化の処理はディスクハードウェア内で行われます。ホストオペレーティングシステムからのこの分離により、ハードウェア暗号化はソフトウェアによる暗号化よりも安全性が高くなります。さらに、ソフトウェア暗号化と違って、ハードウェア暗号化は余計な CPU リソースを必要としません。SED が物理的に盗難あるいは紛失した場合は、SED から理解可能な情報を得ることは不可能です。

このため、SED は、政府機関の調達プロセス、医療機関、金融サービスでの必須のデータセキュリティに指定されることもあります。

SED タイプ

QNAP は、Trusted Computing Group (TCG) が規定する業界標準に沿ってSED タイプを分類します。サポートされている SED タイプは、次の表示記載されています。

インストールされている SED の SED タイプをチェックするには、［ストレージ＆スナップショット］ > ［ストレージ］ > ［ディスク/VJBOD］ > ［ディスク］に進み、SED をひとつクリックします。

SED ストレージの作成

SED は、QTS および QuTS hero 内での SED セキュアストレージプールや、QTS 内の SED セキュア静的ボリュームの作成に使用できます。

SED セキュアストレージプールの作成

1. ［ストレージ＆スナップショット］を開きます。
2. SED ディスクが初期化されていないことを確認します。
   1. ［ストレージ］> ［ディスク/VJBOD］に進みします。
   2. SED ディスクを選択します。
   3. ［SED ステータス］ が［未初期化］であることを確認します。
   4. 上記の手順を各 SED ディスクに対して繰り返します。
3. SED セキュアストレージプールを作成します。
   注意

   このトピックは、SED セキュアストレージプールを作成するために必要な最小限の手順を説明するものです。
   完全な手順と設定の詳細を知るには、次のいずれかのユーザーガイドの「SED セキュアストレージプールを作成する」を参照してください。

   • QTS ユーザーガイド
   • QuTS hero ユーザーガイド
   1. ［ストレージ］ > ［ストレージ/スナップショット］に進みます。
   2. ［作成］ > ［新規ストレージプール］をクリックします。
      ストレージプールの作成ウィザードが表示されます。
   3. ［次へ］をクリックします。
   4. 任意：拡張ユニット 1 つを［エンクロージャーユニット］リストから選びます。
   5. ［SED セキュアストレージプールを作成する］を選択します。
   6. 1 つあるいは複数の SED ディスクを選択します。
   7. RAID タイプを選択します。
   8. ［次へ］をクリックします。
   9. 暗号化パスワードを指定します。
   10. ［次へ］をクリックします。
   11. ［作成］をクリックします。
       システムが SED セキュアストレージプールを作成します。

SED セキュア静的ボリュームの作成

1. ［ストレージ＆スナップショット］を開きます。
2. SED ディスクが初期化されていないことを確認します。
   1. ［ストレージ］> ［ディスク/VJBOD］>［ディスク］に進みます。
   2. SED ディスクを選択します。
   3. ［SED ステータス］ が［未初期化］であることを確認します。
   4. 上記の手順を各 SED ディスクに対して繰り返します。
3. SED セキュア静的ボリュームを作成します。
   注意

   このトピックは、SED セキュアストレージボリュームを作成するために必要な最小限の手順を説明するものです。
   完全な手順と設定の詳細を知るには、QTS ユーザーガイドの「SED セキュアストレージボリュームを作成する」を参照してください。
   1. ［ストレージ］ > ［ストレージ/スナップショット］に進みます。
   2. ［作成］ > ［新規ボリューム］をクリックします。
      ボリュームの作成ウィザードが表示されます。
   3. ［静的ボリューム］を選択します。
   4. ［次へ］をクリックします。
   5. 任意：拡張ユニット 1 つを［エンクロージャーユニット］リストから選びます。
   6. ［SED セキュア静的ボリュームを作成する］を選択します。
   7. 1 つあるいは複数の SED ディスクを選択します。
   8. RAID タイプを選択します。
   9. ［次へ］をクリックします。
   10. 暗号化パスワードを指定します。
   11. ［次へ］をクリックします。
   12. ［終了］をクリックします。
       システムが SED セキュア静的ボリュームを作成します。

SED 管理

SED ストレージプールと静的ボリュームのアクション

次のアクションを実行するには、［ストレージ＆スナップショット］ > ［ストレージ］ > ［ストレージ/スナップショット］に進み、SED プールまたはボリュームを選択し、［管理］をクリックした後、［アクション］ > ［SED 設定］を選択します。

ロックされている SED ストレージプールまたは静的ボリュームの削除

1. ［ストレージ＆スナップショット］>［ストレージ］>［ストレージ/スナップショット］に進みます。
2. ロックされている SED ストレージプールまたは静的ボリュームを選択します。
   注意

   静的ボリュームは、QTS でのみ利用可能です。
3. ［管理］をクリックしてから、［削除］をクリックします。
   削除ウィザードウィンドウが開きます。
4. 除去オプションを選択してください。

   オプション	説明
   SED プールのロックを解除して、プール、データ、保存キーを削除する	このオプションは、ストレージプールまたは静的ボリューム内の SED ディスクをロック解除し、全データを削除します。ストレージプールまたは静的ボリュームが、システムから削除されます。 暗号化パスワードを入力する必要があります。
   ロックを解除せずにプールを削除する	このオプションは、ディスクのロック解除を行わずにストレージプールまたは静的ボリュームを除去します。SED ディスクは、次のいずれかのアクションを実施するまでは使用できなくなります。 そのディスクのロックを解除します。［ディスク/VJBOD］に進み、［復元］をクリックしてから、［ストレージプールのマウントと復元］を選択します。 SED 消去を用いてディスクを消去します。

5. ［適用］をクリックします。

システムが、ロックされている SED ストレージプールまたは静的ボリュームを除去します。

SED セキュアストレージプールから新しい NAS への移行

ストレージプールを新しい NAS に移行する場合は、次の要件を満たす必要があります。

• 2台の NAS デバイスは、両方とも QTS または両方とも QuTS hero が動作していなければなりません。QTS と QuTS hero 間の移行はできません。
• 新しい NAS で動作している QTS または QuTS hero のバージョンは、元の NAS で動作しているバージョンと同じかそれよりも新しくなければなりません。

1. 元の NAS で、［ストレージ＆スナップショット］ > ［ストレージ］ > ［ストレージ/スナップショット］に進みます。
2. SED セキュアストレージプールを選択します。
3. ［管理］をクリックします。
   ストレージプール管理ウィンドウが開きます。
4. ［アクション］をクリックした後、［プールを安全に取り外す］を選択します。
   
   確認メッセージが表示されます。
5. ［Yes］をクリックします。
   ストレージプールステータスが［安全に取り外し中...］に変わります。
   システムがプールの取り外しを完了した後、プールは［ストレージ＆スナップショット］から消えます。
6. ストレージプールを含むドライブを NAS から削除します。
7. ドライブを新しい NAS にインストールします。
8. 新しい NAS で、 ［ストレージ＆スナップショット］ > ［ストレージ］ > ［ディスク/VJBOD］に進みます。
9. ［回復］をクリックし、［ストレージプールのマウントと復元］を選択します。
   確認メッセージが表示されます。
10. 暗号化パスワードを入力して下さい。
    暗号化が有効になっている自己暗号化ドライブ (SED) を使用している場合は、このパスワードの入力が必要です。
11. ［マウント］をクリックします。
    システムがディスクをスキャンし、ストレージプールを検出します。
12. ［適用］をクリックします。
    新しい NAS の［ストレージ＆スナップショット］にストレージプールが現れます。

SED 消去を用いたディスクの消去

SED 消去はロックされた、あるいはロック解除された SED ディスク上の全ディスクを消去し、暗号化パスワードを削除します。

SED 消去を実施するためには、ディスクがシステムによって使用されておらず、どんな目的にも割り当てられていない (たとえば、ストレージプール内になりことや、スペアディスクとして設定されていない) 必要があります。SED 消去を実施する前に、ディスクがフリーであることを確認します。

1. ［ストレージ＆スナップショット］>［ストレージ］>［ディスク/VJBOD］>［ディスク］に進みます。
2. SED ディスクを選択します。
3. ［アクション］をクリックし、［SED 消去］を選択します。
   注意

   この機能は、ディスクの利用タイプステータスが「フリー」である時のみ利用できます。このステータスをチェックするには、［ストレージ＆スナップショット］>［ストレージ］>［ディスク/VJBOD］>［ディスク］進み、表の中のディスクを特定し、「利用タイプ」カラムの下を見ます。詳細については、QTSユーザーガイドまたはQuTS heroユーザーガイドの「ディスクステータス」をご覧ください。

   SED 消去ウィンドウが開きます。
4. ディスクの Physical Security ID (PSID) を入力します。
   ヒント

   PSID は通常、ディスクラベルに記載されています。
   
   PSID が見つからない場合は、ディスクの製造メーカーにお問い合わせください。
5. ［適用］をクリックします。
   システムが SED 上の全データを消去します。

SED ステータス

SED のステータスを見るには、［ストレージ＆スナップショット］ > ［ストレージ］ > ［ディスク/VJBOD］>［ディスク］に進み、インストールされた SED をクリックします。

用語集